搜索

[13672] 2019-01-19_深度解构钓鱼软件AVE_MARIA

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2019-01-19_深度解构钓鱼软件AVE_MARIA 深 度 解 构 钓 鱼 软 件 A V E _ M A R I A 柚 子   F r e e B u f   2 0 1 9 - 0 1 - 1 9 A v e   M a r i a 恶 意 软 件 在 恶 意 软 件 在 2 0 1 8 年 年 1 2 月 底 对 意 大 利 某 能 源 企 业 发 起 网 络 钓 鱼 攻 击 。 月 底 对 意 大 利 某 能 源 企 业 发 起 网 络 钓 鱼 攻 击 。 C y b a z e - Y o r o i   Z L a b 的 研 究 人 员 分 析 了 黑 客 发 起 这 场 钓 鱼 攻 击 的 意 图 。 该 恶 意 邮 件 以 供 应 商 销 售 部 的 名 义 发 出 发 的 研 究 人 员 分 析 了 黑 客 发 起 这 场 钓 鱼 攻 击 的 意 图 。 该 恶 意 邮 件 以 供 应 商 销 售 部 的 名 义 发 出 发 票 与 装 运 订 单 确 认 函 。 和 一 般 的 钓 鱼 攻 击 类 似 ， 它 也 利 用 票 与 装 运 订 单 确 认 函 。 和 一 般 的 钓 鱼 攻 击 类 似 ， 它 也 利 用 C V E - 2 0 1 7 - 1 1 8 8 2 漏 洞 发 送 恶 意 漏 洞 发 送 恶 意 E x c e l 文 件 ， 从 而 运 行 文 件 ， 从 而 运 行 从 恶 意 网 站 （ 网 站 已 被 攻 击 者 入 侵 ） 检 索 到 的 可 执 行 文 件 。 从 恶 意 网 站 （ 网 站 已 被 攻 击 者 入 侵 ） 检 索 到 的 可 执 行 文 件 。 用 于 传 播 恶 意 邮 件 的 域 名 仅 在 1 2 月 中 旬 保 留 了 几 天 ， 确 保 恶 意 软 件 在 这 段 时 间 中 发 送 完 毕 。 图 1   发 件 人 域 名 活 跃 时 间 ： 1 2 月 1 2 日 至 1 4 日 C y b a z e - Y o r o i   Z L a b 分 析 了 这 三 天 传 输 的 p a y l o a d 。 技 术 分 析 技 术 分 析 图 2   图 标 实 际 的 感 染 链 开 始 于 恶 意 O f f i c e 文 档 打 开 后 丢 弃 的 自 解 压 存 档 （ S F X ） 。 该 样 本 中 含 有 K a g a m i n e   R i n （ 镜 音 双 子 ， 一 个 被 称 为 “ V O C A L O I D ” 的 语 音 合 成 软 件 ） 的 图 标 。 该 文 件 是 W i n R A R 自 解 压 程 序 ， 配 置 为 将 内 容 解 压 到 临 时 文 件 夹 “ ％ T E M P ％   0 4 5 0 5 1 8 7 ” ， 然 后 以 静 默 方 式 运 行 特 定 的 安 装 程 序 ：
图 3   S F X 解 压 程 序 的 配 置 压 缩 文 件 的 时 间 戳 显 示 攻 击 者 在 域 名 激 活 的 时 间 跨 度 内 ， 在 2 0 1 8 年 1 2 月 1 3 日 2 2 : 5 6 实 现 了 存 档 的 “ 武 器 化 ” 。 图 4   S F X 可 执 行 文 件 提 取 的 文 件 所 有 文 件 的 扩 展 名 都 是 虚 假 的 ， 大 多 数 都 是 包 含 大 量 垃 圾 数 据 的 文 本 文 件 。 但 是 其 中 三 个 文 件 引 起 了 分 析 师 的 注 意 ：
x f i . e x e ： 一 个 合 法 的 、 能 够 执 行 指 定 A u t o I t 脚 本 的 解 释 器 。 h b x   =   l b l ： 第 一 个 A u t o I t 脚 本 （ 将 指 令 隐 藏 在 大 量 注 解 中 来 迷 惑 分 析 人 员 ） 。 u a f . i c m ： 一 个 包 含 所 有 恶 意 软 件 设 置 信 息 的 文 件 ， 例 如 安 装 文 件 夹 、 解 释 器 名 称 和 下 一 阶 段 使 用 的 其 它 参 数 ； 根 据 “ I N I 文 件 格 式 ” 构 建 。 图 5   第 一 个 A u t o I t 脚 本 出 现 （ 被 称 为 “ h b x - l b l ” ） 图 6   u a f . i c m 的 结 构 J u n i p e r 安 全 公 司 早 在 2 0 1 6 年 发 现 了 类 似 的 A u t o I T 代 码 包 ， S F X 文 件 以 这 样 的 方 式 被 滥 用 ， 并 发 送 脚 本 用 于 恶 意 软 件 第 一 阶 段 的 攻 击 。 如 图 3 中 的 配 置 所 示 ， 该 样 本 能 够 使 用 以 下 命 令 运 行 第 一 个 脚 本 ： 此 时 ， 使 用 字 符 串 模 式 “ [ s D a t a ] ” 和 “ [ e s D a t a ] ” 之 间 的 “ u a f . i c m ” 中 包 含 的 编 码 数 据 ， 由 第 一 个 脚 本 创 建 第 二 个 脚 本 ， 形 成 随 机 名 称 （ 例 如 “ Z Z Q L Z ” ） ， 并 使 用 “ x f i . e x e ” 引 擎 运 行 。 $ >   x f i . e x e   h b x = l b l
图 7   第 二 个 脚 本 通 过 二 进 制 编 码 ， 并 隐 藏 在 “ [ s D a t a ] ” 和 “ [ e s D a t a ] ” 之 间 的 u a f . i c m 文 件 中 。 第 二 个 脚 本 通 过 二 进 制 编 码 的 方 式 产 生 了 极 大 的 迷 惑 性 。 分 析 师 利 用 “ 反 混 淆 技 术 ” 发 现 了 其 中 很 多 有 趣 的 功 能 。 该 脚 本 中 含 有 不 同 的 防 御 绕 过 技 术 ， 例 如 检 查 当 前 正 在 运 行 的 进 程 ， 如 果 存 在 与 某 些 虚 拟 化 软 件 （ 如 V i r t u a l b o x ） 相 关 的 进 程 ， 恶 意 软 件 则 自 行 终 止 。 图 8   恶 意 软 件 的 躲 避 示 例 第 二 个 脚 本 的 主 要 目 的 是 解 密 并 执 行 隐 藏 在 “ u a f . i c m ” 文 件 的 “ [ D a t a ] ” 和 “ [ e D a t a ] ” 分 隔 符 字 符 串 中 的 最 终 有 效 负 载 。 使 用 “ A d v a p i 3 2 . d l l ！ C r y p t D e c r y p t ” M i c r o s o f t 函 数 解 密 数 据 ， 该 函 数 通 过 高 级 A P I “ D l l C a l l ” 动 态 调 用 到 A u t o I t 脚 本 中 。 解 密 密 钥 从 常 见 的 设 置 文 件 中 检 索 。 A u t o I t 脚 本 用 于 运 行 刚 提 取 的 p a y l o a d 的 方 式 也 很 有 意 思 。 在 第 一 个 实 例 中 ， 恶 意 软 件 将 ％ R e g s v c s . e x e （ . N E T 服 务 安 装 工 具 ） 的 副 本 创 建 到 ％ T E M P ％ 文 件 夹 中 并 运 行 。 然 后 执 行 进 程 注 入 ， 从 而 启 动 R e g s v c s 进 程 后 面 的 恶 意 负 载 。 下 图 展 示 了 存 储 在 “ u a f . i c m ” 设 置 文 件 中 恶 意 二 进 制 文 件 提 取 、 解 密 和 注 入 的 例 程 。 图 9 恶 意 软 件 通 过 D l l C a l l   A u t o I t   A P I ， 使 用 C a l l W i n d o w P r o c W   W i n d o w s 函 数 作 为 进 程 注 入 技 术 。
图 1 0   解 密 并 将 恶 意 负 载 注 入 合 法 进 程 该 恶 意 软 件 作 者 利 用 存 储 在 图 1 1   恶 意 软 件 设 置 的 注 册 表 项 $   A S M 变 量 中 的 自 定 义 s h e l l c o d e 将 二 进 制 有 效 负 载 正 确 地 注 入 到 正 在 运 行 的 r e g s v c s 进 程 中 。 最 后 ， 第 二 个 A u t o I t 脚 本 通 过 编 写 注 册 表 项 H K L M     S O F T W A R E     W o w 6 4 3 2 N o d e     M i c r o s o f t     W i n d o w s   C u r r e n t V e r s i o n     R u n ， 获 得 对 受 害 计 算 机 的 永 久 控 制 。 图 1 1   恶 意 软 件 设 置 的 注 册 表 项 注 册 表 项 的 名 称 与 从 “ 密 钥 ” 部 分 的 “ u a f . i c m ” 设 置 文 件 中 所 提 取 的 值 相 对 应 。 有 效 负 载 ： 有 效 负 载 ： A V E _ M A R I A   S t e a l e r 该 有 效 负 载 注 入 合 法 的 . N E T 进 程 是 一 种 典 型 的 僵 尸 行 为 ： 它 与 a n g u l a r k e y s . w a r z o n e d n s   [ . ]   c o m 上 托 管 的 C 2 联 系 ， 并 检 索 要 执 行 的 下 一 个 操 作 。 攻 击 者 的 服 务 器 目 前 已 关 闭 ， 因 此 无 法 获 得 命 令 的 其 它 阶 段 。 有 调 查 显 示 该 恶 意 软 件 会 查 找 已 安 装 的 电 子 邮 件 客 户 端 （ 如 M i c r o s o f t   E x c h a n g e   C l i e n t 或 O u t l o o k ） ， 获 取 并 泄 露 受 害 者 的 登 录 凭 证 。 图 1 2   对 已 安 装 的 邮 件 客 户 端 的 研 究 分 析
此 外 ， 僵 尸 程 序 能 够 解 密 F i r e f o x 浏 览 器 存 储 的 所 有 用 户 名 和 密 码 。 这 些 敏 感 数 据 使 用 M o z i l l a 网 络 安 全 服 务 的 P K 1 1 加 密 来 保 护 ， 该 恶 意 软 件 具 备 解 密 所 需 的 所 有 功 能 条 件 。 恶 意 软 件 编 写 者 重 复 使 用 公 开 可 用 的 代 码 来 实 现 此 功 能 。 下 图 显 示 了 部 分 执 行 流 程 （ 左 侧 ） 和 一 段 代 码 ， 该 代 码 属 于 g i t h u b 上 发 布 的 K e e P a s s 插 件 （ 右 侧 ） ， 两 者 非 常 相 似 。 图 1 3   恶 意 软 件 的 一 段 代 码 （ 左 侧 ） ； K e e P a s s 插 件 的 一 段 代 码 （ 右 侧 ）   此 外 ， 恶 意 软 件 嵌 入 了 能 够 绕 过 资 源 部 分 用 户 访 问 控 制 的 程 序 。 该 程 序 滥 用 “ p k g m g r . e x e ” W i n d o w s 工 具 中 的 漏 洞 ； 很 多 与 此 漏 洞 相 关 的 资 源 在 互 联 网 上 都 是 公 开 的 。 图 1 4   U A C 旁 路 程 序 的 工 作 流 程 尽 管 该 恶 意 软 件 功 能 强 大 ， 但 作 者 还 是 留 下 了 一 些 与 代 码 环 境 相 关 的 蛛 丝 马 迹 。 图 1 5   编 写 恶 意 软 件 的 可 能 路 径
最 后 ， 可 执 行 文 件 中 出 现 了 另 一 个 奇 怪 的 字 符 串 ： “ A V E _ M A R I A ” ， 这 是 当 恶 意 软 件 正 确 联 系 到 C 2 时 打 招 呼 的 “ 暗 号 ” 。 I n f o S e c 社 区 的 许 多 研 究 人 员 已 将 此 特 定 字 符 串 选 为 该 恶 意 软 件 的 名 称 。 图 1 6   恶 意 软 件 发 送 的 特 殊 字 符 串 结 论 结 论 恶 意 软 件 的 第 一 阶 段 ， 包 括 A u t o I t 脚 本 ， 与 几 年 前 由 第 三 方 安 全 研 究 人 员 分 析 的 另 一 个 恶 意 软 件 波 非 常 相 似 ： 恶 意 软 件 逻 辑 基 于 I N I 设 置 文 件 ， 其 中 一 些 A u t o I t 代 码 也 相 同 ， 但 是 最 终 的 有 效 负 载 是 不 同 的 。 这 些 恶 意 软 件 可 能 是 同 一 个 作 者 编 写 的 ， 复 杂 性 不 断 增 加 ， 也 有 可 能 是 该 恶 意 软 件 的 第 一 阶 段 在 暗 网 上 被 售 卖 ， 而 “ A V E _ M A R I A ” 恶 意 软 件 的 作 者 利 用 公 开 可 获 得 的 代 码 组 成 了 一 个 新 的 窃 取 软 件 ， 并 且 未 将 与 自 己 身 份 信 息 有 关 的 痕 迹 清 除 干 净 。 * 参 考 来 源 ： 参 考 来 源 ： s e c u r i t y a f f a i r s ， ， F B 小 编 柚 子 编 译 ， 转 载 请 注 明 来 自 小 编 柚 子 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理